Nastavení zabezpečení objektů COM v Office

De kill bit Office COM 

De kill bit office COM byl zaveden v aktualizaci zabezpečení MS10-036, aby se zabránilo spuštění určitých objektů COM při vložených nebo propojených z dokumentů Office.  

Funkce deaktivovaného bitu modelu COM byla v aktualizaci KB3178703 aktualizována tak, aby zcela zablokovala, aby office neaktivoval v procesu objekty COM. Tato aktualizace je nadmnožina původního chování, kdy kromě blokování objektů COM vložených nebo propojených v dokumentech Office se tím zablokují všechny instance objektů COM, které se načítá v rámci procesu Office, jiným způsobem, jako jsou doplňky. 

Mezi tyto konkrétní objekty COM patří ovládací prvky ActiveX a objekty OLE. Prostřednictvím registru můžete nezávisle řídit, které objekty COM jsou při používání Office zablokované. 

Poznámka:Nedoporučujeme odebrat de kill bit, který je nastavený pro objekt COM. Pokud to budete dělat, můžete vytvořit chyby zabezpečení. Dez kill bit je obvykle nastavený z důvodu, který může být důležitý. Proto musíte být velmi opatrní, když unkill ovládacího prvku ActiveX.  
 
Pokud potřebujete vytvořit vztah k identifikátoru CLSID nového ovládacího prvku ActiveX (a tento ovládací prvek ActiveX byl změněn tak, aby se snížila hrozba zabezpečení), můžete přidat identifikátor AlternateCLSID (označovaný taky jako "Phoenix bit") s identifikátorem CLSID ovládacího prvku ActiveX, na který byl použit dezaktivátor modelu Office COM. Office podporuje AlternateCLSID jenom v případě, že se používají objekty COM ovládacího prvku ActiveX.  
 
Poznámka: Seznam de kill bitů pro Office má přednost před seznamem de kill bitů pro Internet Explorer. U stejného ovládacího prvku ActiveX může být například nastavený deaktivní bit Office COM a deaktivování ActiveX v Internet Exploreru. AlternateCLSID je ale nastavené jenom v seznamu pro Internet Explorer. V tomto scénáři je konflikt mezi oběma nastaveními. V takových případech má přednost nastavení de kill bitu modelu COM Pro Office a ovládací prvek se nenačítá. 

Nastavení de kill bitu Office COM

Umístění pro nastavení de kill bitu Office COM v registru je následující:  

Pro Office 2013 a Office 2010:

• Pro 64bitovou verzi Office v 64bitovém systému Windows (nebo 32bitovou verzi Office v 32bitovém systému Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Pro 32bitovou verzi Office v 64bitovém systému Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Pro Office 2016:

• Pro 64bitovou verzi Office v 64bitovém systému Windows (nebo 32bitovou verzi Office v 32bitovém systému Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Pro 32bitovou verzi Office v 64bitovém systému Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

V tomto případě je identifikátor CLSID identifikátorem třídy objektu COM.  

Pokud chcete povolit de kill bit Office COM, postupujte takto:

1. Přidejte podklíč registru společně s identifikátorem CLSID ovládacího prvku ActiveX nebo objektu OLE, který chcete blokovat načítání.

2. Přidejte REG_DWORD podklíč s názvem Příznaky kompatibility a nastavte jeho hodnotu na 0x00000400.

Pokud chcete například nastavit de kill bit Office COM pro objekt, který má identifikátor CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} v Office 2016, postupujte takto: 

1. Vyhledejte následující podklíč registru:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Přidejte podklíč s hodnotou {77061A9C-2F18-4f38-B294-F6BCC8443D24}. V takovém případě je výsledná cesta následující:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Přidejte REG_DWORD podklíč s názvem Příznakykompatibility a nastavte jeho hodnotu na 0x00000400.

Deaktivovaný bit Office COM je teď nastavený tak, aby blokoval aktivaci tohoto objektu v Office. 

Jak blokovat jenom modelu COM při propojování a vkládání scénářů 

Jak už jsme zmínili, funkce de kill bitu modelu COM byla aktualizována tak, aby blokla všechny aktivace zadaných objektů COM z Office.  

Pokud chcete blokovat jenom objekty COM vložené nebo propojené z dokumentů Office, postupujte takto:  

1. Přidejte identifikátor CLSID do de kill bitu modelu COM podle pokynů v části Nastavení de killbitu Office(pokud ještě není v seznamu)

2. V podklíči identifikátoru CLSID, který je zablokovaný, přidejte hodnotu REG_DWORD s názvem ActivationFilterOverridea nastavte její hodnotu na 0x00000001.

Pokud chcete například nakonfigurovat de kill bit modelu COM tak, aby blokoval jenom scénáře propojení a vkládání pro objekt, který má v Office 2016 identifikátor CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24}, postupujte takto:

1. Vyhledejte následující podklíč registru:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Přidejte podklíč s hodnotou {77061A9C-2F18-4f38-B294-F6BCC8443D24}. V takovém případě je výsledná cesta následující:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Přidejte REG_DWORD do tohoto podklíče s názvem Příznakykompatibility a nastavte její hodnotu na 0x00000400. 

4. Přidejte REG_DWORD podklíč s názvem ActivationFilterOverridea nastavte jeho hodnotu na 0x00000001. 

De kill bit Office COM je teď nastavený tak, aby tento objekt COM blokovaný jenom v případě, že je propojený nebo vložený v dokumentech Office.